Tribunal: TCU
Processo: 023.242/2024-8
Classe: ACÓRDÃO
Órgão julgador: BENJAMIN ZYMLER
Órgão colegiado: Plenário
Data de julgamento: 2025-12-08
Data de publicação: 2026-02-12

Ementa:
Auditoria sobre o uso das plataformas eletrônicas privadas pelos entes subnacionais nas licitações custeadas com recursos federais descentralizados, com o objetivo verificar a conformidade dos respectivos requisitos de contratação e de sistemas de TI.

Inteiro teor:
VISTOS, relatados e discutidos estes autos de relatório de auditoria sobre o uso das plataformas eletrônicas privadas pelos entes subnacionais nas licitações custeadas com recursos federais descentralizados, com o objetivo verificar a conformidade dos respectivos requisitos de contratação e de sistemas de tecnologia da informação (TI), ACORDAM os Ministros do Tribunal de Contas da União, reunidos em sessão extraordinária do Plenário, ante as razões oferecidas pelo relator, em: 9.1. determinar à Casa Civil da Presidência da República, mediante orientação à Pasta Ministerial que entender adequada, que, no prazo de 180 (cento e oitenta) dias, no exercício da competência conferida ao Poder Executivo Federal pelo art. 175, § 1o, da Lei 14.133/2021 (alterado pelo art. 1o da Lei 15.266/2025), guardada a devida análise de impacto regulatório, com fundamento no art. 250, inciso II, do Regimento Interno do TCU, c/c o art. 7o, § 3o, da Resolução-TCU 315/2020: 9.1.1. tome providências para regulamentar, preferencialmente em articulação com o Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP), o disposto no § 1o do art. 175 da Lei 14.133/2021, definindo requisitos de parametrização operacional que assegurem a integração ao PNCP por plataformas eletrônicas públicas e privadas de licitação, levando em consideração, no mínimo, os seguintes aspectos: 9.1.1.1. a exigência de adoção de Política de Segurança da Informação, a exemplo do conteúdo do modelo publicado pelo Ministério da Gestão e da Inovação em Serviços Públicos; 9.1.1.2. a exigência de implementação de controles de segurança cibernética compatíveis com o risco associado à política pública executada, a exemplo das diretrizes expedidas pela Secretaria de Governo Digital no âmbito do Programa de Privacidade e Segurança da Informação; 9.1.1.3. definição do órgão ou entidade responsável pelo credenciamento/certificação das plataformas eletrônicas privadas de licitação e pela fiscalização do efetivo cumprimento das disposições regulamentares que vierem a ser expedidas; 9.1.1.4. a exigência de que, no que se refere a regras cujos critérios de julgamento forem o menor preço ou maior desconto, sejam dotadas de funcionalidades que salvaguardem riscos contra a impessoalidade, isonomia, transparência e competitividade do certame, guardada a legítima regulamentação de cada ente federativo, a exemplo de: 9.1.1.4.1. imposição de travas sistêmicas que impeçam a configuração de prazos inferiores aos mínimos estabelecidos para: (i) registro da proposta inicial; (ii) envio de impugnações ou pedidos de esclarecimento; (iii) apresentação de proposta ajustada e de documentos complementares; e (iv) manifestações de intenção de recorrer - conforme os arts. 55 e 164 da Lei 14.133/2021; 9.1.1.4.2. proibição de parametrizações que permitam a realização de etapas críticas - como abertura de lances, classificação, diligências, julgamento, habilitação e manifestação de recurso - fora do horário comercial ou em dias não úteis; 9.1.1.4.3. obrigatoriedade de abertura automática da sessão pública no horário previsto no edital; 9.1.1.4.4. obrigatoriedade de envio automático de notificações aos licitantes no início da sessão pública, contendo as informações relativas às configurações da sessão - como a quantidade de itens passíveis de disputa simultânea e os respectivos períodos de abertura; 9.1.1.4.5. proibição de coleta de dados identificadores (como nome, razão social, e-mail , telefone ou assinatura digital) por ocasião do cadastro inicial da proposta; 9.1.1.4.6. eliminação da funcionalidade que exija ou permita, no momento do cadastro inicial da proposta, o envio antecipado de documentos da proposta ou de habilitação (exceto nos casos de inversão excepcional das fases de julgamento e habilitação), em conformidade com o art. 63, inciso II, da Lei 14.133/2021; 9.1.1.4.7. restrição à exclusão de lances, permitindo apenas um cancelamento em prazo com limite de tempo razoável estabelecido após o registro; 9.1.1.4.8. exigência de que propostas ajustadas e documentos complementares sejam enviados exclusivamente por meio do sistema eletrônico; 9.1.1.4.9. mecanismos que assegurem ao licitante a possibilidade de manifestação de intenção de recorrer em dois momentos distintos: após o julgamento das propostas e após a habilitação ou inabilitação, em observância ao contraditório; 9.1.1.4.10. exigência de que a plataforma privada contratada para realizar licitação disponibilize ao público em geral, em formato de dados abertos, os documentos e informações da sessão pública, com garantia de preservação e acesso por prazo não inferior a cinco anos a partir da realização do certame, sendo vedada qualquer exigência de justificativa, cadastramento prévio ou fornecimento de dados pessoais (como nome ou e-mail ) para consulta desses dados, em atenção ao art. 13 da Lei 14.133/20211 e ao art. 8o da Lei 12.527/2011; 9.1.1.4.11. exigência de que a plataforma eletrônica privada assegure que qualquer cidadão possa apresentar impugnações ou pedir esclarecimentos ao edital, sem a imposição de autenticação por login e senha, admitida apenas a solicitação de nome/razão social e e-mail , restrita à finalidade de envio da resposta, em atenção ao art. 164 da Lei 14.133/2021; 9.1.1.4.12. obrigatoriedade de as propostas serem apresentadas de forma simultânea com os documentos de habilitação, nas hipóteses de inversão de etapas; 9.1.1.4.13. estabelecer mecanismos que assegurem o encerramento do anonimato dos licitantes e a divulgação da ordem de classificação somente após a conclusão da etapa de lances de todos os itens da licitação, admitindo-se, ainda, que a divulgação ocorra apenas posteriormente a esse momento procedimental quando tal medida se mostrar necessária à mitigação de riscos de conluio ou de alinhamento prévio entre competidores, voltados à manipulação ou alteração artificial do resultado do certame; 9.1.2. oriente os demais órgãos do Poder Executivo concedentes de transferências voluntárias que alertem os entes subnacionais, em cada convênio ou contrato de repasse específico, que eventual licitação realizada com plataforma privada que contenha regras e procedimentos que possam comprometer a legalidade, transparência, auditabilidade, integridade ou isonomia do processo, pode levar a apontamento de irregularidade nas respectivas prestações de contas, a exemplo de: 9.1.2.1. utilização de plataformas privadas que cobrem taxas excessivas dos licitantes pela participação na licitação, quando capazes de frustrar a competitividade e a isonomia do processo competitivo, extrapolando os custos de armazenamento de dados, trafegabilidade, suporte, segurança digital, customizações, remuneração do mantenedor da plataforma e encargos operativos associados; 9.1.2.2. desatendimento dos requisitos estabelecidos no subitem 9.1 desta decisão; 9.2. recomendar à Casa Civil da Presidência da República, com fundamento no art. 11, inciso I, da Resolução-TCU 315/2020, que oriente a Pasta Ministerial competente, ao elaborar a regulamentação do art. 175, § 1o, da Lei 14.133/2021, para que, em articulação com o Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP), estabeleça normas específicas sobre os requisitos de integração e operacionalidade das plataformas eletrônicas públicas e privadas de licitação, incorporando, quando pertinente, os requisitos técnicos abaixo elencados como parte integrante do regulamento: 9.2.1. a segurança de dados e informações - infraestrutura: 9.2.2.1. protocolo Secure Sockets Layer (SSL27) de ponta a ponta - infra e aplicação; 9.2.2.2. Firewall28 para bloqueio de boots e ataques indesejados; e 9.2.1.3. obrigatoriedade de um segundo fator de autenticação (2FA) para login em servidores onde estão hospedadas as aplicações; 9.2.2. o gerenciamento e controle de autorização de acessos: 9.2.1. o uso senhas fortes por parte dos usuários (tanto por parte da Administração quanto do licitante); 9.2.2.2. a definição de níveis de acessos - controle de acesso hierárquico ao sistema; 9.2.2.3. a aplicação de procedimentos de verificação e armazenamento de log ; 9.2.2.4. o registro de eventos de administrador e operador; 9.2.2.5. o uso de gerenciamento de identidade e acesso (IAM), para controlar o acesso, incluindo-se a autenticação de usuários, autorização de acesso e gerenciamento de privilégios; e 9.2.2.6. que todas as alterações de dados sejam feitas exclusivamente dentro da plataforma (via código), por meio de login e log . 9.2.3. o gerenciamento de disponibilidade, continuidade e capacidade da aplicação: 9.2.2.3.1. a utilização de ambiente computacional que garante alta disponibilidade (24x7) (Ex. AWS, CGP); 9.2.3.2. a não identificação dos fornecedores durante fase de disputa e na proposta cadastrada (dados de identificação criptografados); 9.2.3.3. o gerenciamento de chaves implementada ao longo de todo ciclo de vida do processo; 9.2.3.4. o processo de descriptografia definido e implementado; 9.2.3.5. a apresentação de relatório de PenTeste com detalhamento de impacto e criticidade - frequência de no mínimo 1 (uma) vez ao ano, por empresa reconhecida em Segurança da Informação; 9.2.3.6. a implementação de política de backup e recuperação de banco de dados; 9.2.3.7. a comprovação de procedimentos de backup full e incremental; e 9.2.3.8. a utilização de sistemas de monitoramento em tempo real dos servidores. 9.2.4. o gerenciamento de ambiente de desenvolvimento, teste e aceitação da aplicação: 9.2.4.1. a análise de requisitos com elaboração de protótipos; 9.2.4.2. a validação jurídica dos requisitos a serem implementados; 9.2.4.3. a implementação de codificação segura; 9.2.4.4. a implementação de testes funcionais; 9.2.4.5. a implementação de roteiros de teste; 9.2.4.6. a segregação de ambientes de desenvolvimento, teste e produção; 9.2.4.7. o processo de melhoria contínua implementada nas demandas do atendimento; e 9.2.4.8. a abertura de código para auditoria e inspeção realizado por empresas credenciadas. 9.2.5. a gestão de serviços e suporte de atendimento: 9.2.5.1. a disponibilização de múltiplos canais de atendimento, tais como: telefone, e-mail , Whatsapp e chat ; 9.2.5.2. a disponibilização de informação de atendimento documentada e com rastreabilidade; 9.2.5.3. a disponibilização da informação de atendimento para a parte interessada; 9.2.5.4. a mensuração de indicadores de volume de atendimento por canal; 9.2.5.5. a implantação de medidas para prevenção e redução de espera no atendimento; 9.2.5.6. a implementação de critérios mínimos de atendimento; 9.2.5.7. a classificação de chamados com identificação de incidentes e problemas; 9.2.5.8. o controle de chamados pendentes, resolvidos e fechados; 9.2.5.9. a implementação de escalonamento de chamados de acordo com perfil; e 9.2.5.10. a medição e avaliação de desempenho do processo de suporte ao atendimento. 9.3. encaminhar cópia desta decisão, acompanhada do relatório e do voto que a fundamentam, bem como do relatório de auditoria, à peça 74: 9.3.1. aos tribunais de contas estaduais e aos tribunais de contas dos municípios, bem como à Associação dos Membros dos Tribunais de Contas do Brasil (Atricon), para as providências que entenderem adequadas, informando-os acerca dos seguintes indícios de irregularidades identificados no curso da presente fiscalização: 9.3.1.1. ausência de elaboração de ETP por municípios para fundamentar a contratação da plataforma eletrônica privada de licitação, demonstrando a vantajosidade, à luz do interesse público, da escolha do sistema privado em detrimento das opções gratuitas ofertadas pela Administração Pública, e delimitando os requisitos mínimos que a plataforma deve atender para garantir a observância das regras e princípios que regem as licitações, em violação aos arts. 5o, 18, §§ 1o e 2o, e 72, inciso I, da Lei 14.133/2021; 9.3.1.2. ausência de formalização de procedimento licitatório ou processo de contratação direta pelos municípios para escolha da plataforma eletrônica privada de licitação, em violação ao art. 37, inciso XXI, da Constituição Federal, bem como aos normativos e princípios que regem as contratações pública; 9.3.1.3. celebração por municípios de termos de adesão com as plataformas eletrônicas privadas, sem a submissão da pessoa jurídica de direito privado que opera a plataforma ao regime jurídico administrativo e sem a inclusão das cláusulas necessárias previstas no art. 92 da Lei 14.133/2021; 9.3.1.4. contratação por municípios de plataformas eletrônicas privadas que não implantaram um Programa Institucional de Privacidade de Dados, conforme o previsto no art. 50 da Lei 13.709/2018; 9.3.1.5. contratação de plataformas privadas por municípios que cobram taxas excessivas de licitantes para participação da licitação ou dos vencedores do certame, em frustração da competitividade e na ausência de lei regulamentadora sobre a possibilidade de cobrança de taxas ou emolumentos pelos licitantes, seja pela Administração Pública, seja pelos sistemas eletrônicos privados de licitação, para custear eventuais despesas com tecnologia da informação utilizadas na realização dos certames; 9.3.1.6. ausência de disponibilização, em formato de dados abertos, dos documentos e informações da sessão pública por meio da plataforma privada, ou disponibilização condicionada à justificativa, cadastro prévio ou fornecimento de dados pessoais (nome, e-mail ), em desacordo com o art. 13 da Lei 14.133/2021 e com o art. 8o da Lei 12.527/2011; e 9.3.1.7. ausência de mecanismo, na plataforma privada de licitação, que assegure a qualquer cidadão a possibilidade de apresentar impugnações ou solicitar esclarecimentos ao edital sem exigência de autenticação por login e senha, em violação ao art. 164 da Lei 14.133/2021; 9.3.2. ao Comitê Gestor da Rede Nacional de Contratações Públicas (CGPNCP), na pessoa de cada um dos seus membros, nos termos do art. 174, § 1o, incisos I a III, da Lei 14.133/2021; 9.3.3. à Secretaria de Gestão e Inovação do Ministério da Gestão e da Inovação em Serviços Públicos (Seges/MGI); 9.4. determinar à Unidade de Auditoria Especializada em Contratações que monitore o teor da presente decisão.